Beveiliging · 30 oktober 2026
Cloudflare zet kwetsbare Apache-omgeving online om WAF te testen
Cloudflare heeft een webserver met Apache en mod_php online gezet die kwetsbaar is voor de PHP2Shell-exploit. Deze omgeving staat achter de Web Application Firewall van het bedrijf. Het doel is om de effectiviteit van de beveiligingslaag te toetsen tegen een bekende aanval.
De server draait op PHP versie 8.5.11 met de standaardextensies. Cloudflare plaatste een verborgen bestand met een vlag in de omgeving. Wie de PHP-omgeving kan overnemen en dit bestand kan lezen, kan een beloning van 3.000 dollar claimen via het platform HackerOne. Dit bedrag is vastgesteld als premie voor het succesvol doorbreken van de bescherming.
Deze test volgt op eerdere experimenten waarbij PHP FPM werd gebruikt. In het huidige scenario draait de PHP-omgeving in een container van Cloudflare. Deze container wordt elke paar minuten opnieuw opgestart. Een lange standtijd zonder succesvolle invasie zou dienen als bewijs voor de robuustheid van de WAF-dienst. Eerder probeerden verschillende landen hun diensten te beschermen door websites tijdelijk offline te halen na de onthulling van de kwetsbaarheid.
Cloudflare benadrukt dat de WAF geen vervanging is voor het installeren van softwareupdates. Het bedrijf stelt dat het belangrijk is om de onderliggende software op de hoogte te houden, naast het gebruik van een firewall. De test is bedoeld om de grenzen van de bescherming in de praktijk te verkennen.